| Navigationslinks �berspringen | |
| Druckansicht beenden | |
|
Systemverwaltungshandbuch: Sicherheitsservices |
Teil I Übersicht über die Sicherheit
1. Sicherheitsservices (Überblick)
Teil II System-, Datei- und Gerätesicherheit
2. Verwalten von Rechnersicherheit (Übersicht)
3. Steuern des Zugriffs auf Systeme (Aufgaben)
4. Steuern des Zugriffs auf Geräte (Aufgaben)
5. Verwenden von Basic Audit Reporting Tool (Aufgaben)
Basic Audit Reporting Tool (Übersicht)
Verwenden von BART (Übersicht der Schritte)
Sicherheitsüberlegungen zu BART
So vergleichen Sie Manifeste für das gleiche System über einen längeren Zeitraum
So vergleichen Sie Manifeste von verschiedenen Systemen
So passen Sie einen BART-Bericht durch Angeben von Dateiattributen an
Manifeste, Regeldateien und Berichte von BART (Referenz)
Format der BART-Manifest-Datei
6. Steuern des Zugriffs auf Dateien (Aufgaben)
7. Verwenden von Automated Security Enhancement Tool (Aufgaben)
Teil III Rollen, Berechtigungsprofile und Berechtigungen
8. Verwenden von Rollen und Berechtigungen (Übersicht)
9. Rollenbasierte Zugriffssteuerung (Aufgaben)
10. Rollenbasierte Zugriffssteuerung (Übersicht)
Teil IV Kryptografische Services
13. Oracle Solaris Cryptographic Framework (Übersicht)
14. Oracle Solaris Cryptographic Framework (Aufgaben)
15. Oracle Solaris Key Management Framework
Teil V Authentifizierungsservices und sichere Kommunikation
16. Verwenden von Authentifizierungsservices (Aufgaben)
19. Verwenden von Oracle Solaris Secure Shell (Aufgaben)
20. Oracle Solaris Secure Shell (Referenz)
21. Einführung zum Kerberos-Service
22. Planen des Kerberos-Service
23. Konfigurieren des Kerberos-Service (Aufgaben)
24. Kerberos-Fehlermeldungen und -Fehlerbehebung
25. Verwalten von Kerberos-Hauptelementen und Richtlinien (Aufgaben)
26. Verwenden von Kerberos-Anwendungen (Aufgaben)
27. Der Kerberos-Service (Referenz)
Teil VII Prüfung bei Oracle Solaris
28. Prüfung bei Oracle Solaris (Übersicht)
29. Planen der Oracle Solaris-Prüfung
30. Verwalten der Oracle Solaris-Prüfung (Aufgaben)
Sie können den Befehl bart als gewöhnlicher Benutzer, Superuser oder Benutzer mit der Rolle "Primary Administrator" ausführen. Wenn Sie den Befehl bart als gewöhnlicher Benutzer ausführen, können Sie nur Dateien katalogisieren und überwachen, für die Sie über Zugriffsberechtigung verfügen, wie Dateien in Ihrem Home-Verzeichnis. Das Ausführen des Befehls bart als Superuser bietet den Vorteil, dass die erstellten Manifeste Informationen zu verborgenen und privaten Dateien, die Sie überwachen können, enthalten. Wenn Sie Informationen zu Dateien mit eingeschränkten Berechtigungen (beispielsweise Datei /etc/passwd oder /etc/shadow) katalogisieren und überwachen möchten, führen Sie den Befehl bart als Superuser aus. Weitere Informationen zu rollenbasierter Zugriffssteuerung finden Sie unter Rollenbasierte Zugriffssteuerung (Übersicht).
Wenn Sie den Befehl bart als Superuser ausführen, ist die Ausgabe für alle Benutzer lesbar. Diese Ausgabe enthält Dateinamen, die als privat betrachtet werden. Wenn Sie den Befehl bart als Superuser ausführen, führen Sie entsprechende Maßnahmen zum Schützen der Ausgabe durch. Verwenden Sie beispielsweise Optionen, durch die Ausgabedateien mit einschränkenden Berechtigungen generiert werden.
Hinweis - Die Verfahren und Beispiele in diesem Kapitel zeigen, wie der Befehl bart von einem Superuser ausgeführt wird. Sofern nicht anders angegeben, ist das Ausführen des Befehls bart als Superuser optional.
Das Manifest eines Systems wird unmittelbar nach einer Erstinstallation der Oracle Solaris-Software erstellt. Durch diese Art von Manifest erhalten Sie Basiswerte, um die über einen längeren Zeitraum hinweg an einem System durchgeführten Änderungen zu vergleichen. Außerdem können Sie mit diesem Manifest die Manifeste verschiedener Systeme vergleichen. Wenn Sie beispielsweise einen Schnappschuss der Systeme im Netzwerk erstellen und anschließend die Test-Manifeste mit dem Steuerungs-Manifest vergleichen, können Sie schnell die erforderlichen Maßnahmen feststellen, um das Testsystem mit der Basiswertekonfiguration zu synchronisieren.
Die Rolle "Primary Administrator" enthält das gleichnamige Profil. Informationen zum Erstellen von Rollen und Zuweisen von Rollen zu Benutzern finden Sie in Kapitel 2, Working With the Solaris Management Console (Tasks) in System Administration Guide: Basic Administration.
# bart create options > control-manifest
Gibt das Stammverzeichnis für das Manifest an. Alle von den Regeln angegebenen Pfade werden relativ zu diesem Verzeichnis interpretiert. Alle im Manifest gemeldeten Pfade sind relativ zu diesem Verzeichnis.
Akzeptiert eine Liste einzelner zu katalogisierender Dateien, entweder über die Befehlszeile oder von der Standardeingabe.
Entspricht dem Namen der Regeldatei für dieses Manifest. Wenn – zusammen mit der Option -r verwendet wird, wird die Regeldatei von der Standardeingabe gelesen.
Deaktiviert die Inhaltssignatur für alle regulären Dateien in der Dateiliste. Durch diese Option kann die Leistung verbessert werden. Außerdem können Sie diese Option verwenden, wenn der Inhalt der Dateiliste geändert werden sollte, wie im Falle von Systemprotokolldateien.
Wählen Sie einen aussagekräftigen Namen für das Manifest. Verwenden Sie beispielsweise den Systemnamen und das Datum der Manifest-Erstellung.
Beispiel 5-1 Erstellen eines Manifests mit Informationen zu Dateien in einem System
Wenn Sie den Befehl bart create ohne Optionen ausführen, werden die Informationen zu den im System installierten Dateien katalogisiert. Verwenden Sie diese Art von Manifest als Basiswerte, wenn Sie mehrere Systeme von einem zentralen Image installieren. Außerdem können Sie diese Art von Manifest verwenden, um durch Vergleiche sicherzustellen, dass die Installationen identisch sind.
Beispiel:
# bart create ! Version 1.0 ! Thursday, December 04, 2003 (16:17:39) # Format: #fname D size mode acl dirmtime uid gid #fname P size mode acl mtime uid gid #fname S size mode acl mtime uid gid #fname F size mode acl mtime uid gid contents #fname L size mode acl lnmtime uid gid dest #fname B size mode acl mtime uid gid devnode #fname C size mode acl mtime uid gid devnode / D 1024 40755 user::rwx,group::r-x,mask:r-x,other:r-x 3fd9ea47 0 0 /.java D 512 40755 user::rwx,group::r-x,mask:r-x,other:r-x 3f8dc04d 0 10 /.java/.userPrefs D 512 40700 user::rwx,group::---,mask:--- other:--- 3f8dc06b 010 /.java/.userPrefs/.user.lock.root F 0 100600 user::rw- group::---,mask:---,other:--- 3f8dc06b 0 10 - /.java/.userPrefs/.userRootModFile.root F 0 100600 user::rw-, group::---,mask:---,other:--- 3f8dc0a1 0 10 - . . . /var/sadm/pkg/SUNWdtmad/install/depend F 932 100644 user::rw-, group::r--,mask:r--,other:r-- 3c23a19e 0 0 - /var/sadm/pkg/SUNWdtmad/pkginfo F 594 100644 user::rw- group::r--,mask:r--,other:r-- 3f81e416 0 0 - /var/sadm/pkg/SUNWdtmad/save D 512 40755 user::rwx,group::r-x mask:r-x,other:r-x 3f81e416 0 0 /var/sadm/pkg/SUNWdtmaz D 512 40755 user::rwx,group::r-x mask:r-x,other:r-x 3f81e41b 0 0 /var/sadm/pkg/TSIpgxw/save D 512 40755 user::rwx group::r-x,mask:r-x,other:r-x 3f81e892 0 0 . . .
Die Manifeste bestehen aus einem Header und Einträgen. Je nach Dateityp besteht jeder Manifest-Dateieintrag aus einer Zeile. Beispielsweise entspricht bei den Manifest-Einträgen in der vorhergehenden Ausgabe der Typ F einer Datei und der Typ D einem Verzeichnis. Außerdem sind Informationen zu Größe, Inhalt, Benutzer-ID, Gruppen-ID und Berechtigungen aufgeführt. Dateieinträge in der Ausgabe werden durch die codierten Versionen der Dateinamen sortiert, um Sonderzeichen ordnungsgemäß zu verarbeiten. Alle Einträge werden in aufsteigender Reihenfolge nach Dateiname sortiert. Bei allen nicht standardmäßigen Dateinamen, beispielsweise mit eingebetteten Zeilenende- oder Tabulatorzeichen, werden die nicht standardmäßigen Zeichen in Anführungszeichen gesetzt, bevor die Sortierung durchgeführt wird.
Zeilen, die mit ! beginnen, stellen Metadaten zum Manifest zur Verfügung. Die Zeile mit der Manifestversion gibt die Version der Manifestspezifikation an. Die Datumszeile gibt das Datum der Manifest-Erstellung im Datumsformat an. Weitere Informationen erhalten Sie auf der Manpage date(1). Einige Zeilen werden vom Vergleichs-Tool des Manifests ignoriert. Zu den ignorierten Zeilen zählen leere Zeilen, Zeilen aus Leerstellen und mit # beginnende Kommentare.
Sie können ein Manifest auf eine der folgenden Arten anpassen:
Durch Angeben eines Teilbaums
Indem Sie ein Manifest für einen einzelnen Teilbaum auf einem System erstellen, können Sie die Überwachung der Änderungen an bestimmten Dateien effizient durchführen, anstatt am gesamten Inhalt eines umfangreichen Verzeichnisses. Sie können ein Basiswerte-Manifest für einen bestimmten Teilbaum auf Ihrem System erstellen und anschließend in regelmäßigen Abständen Test-Manifeste für den gleichen Teilbaum erstellen. Verwenden Sie den Befehl bart compare, um das Steuerungs-Manifest mit dem Test-Manifest zu vergleichen. Durch diese Option können Sie wichtige Dateisysteme effizient überwachen und feststellen, ob die Sicherheit von Dateien durch einen Eindringling gefährdet wurde.
Durch Angeben eines Dateinamens
Da das Erstellen eines Manifests für die Katalogisierung des gesamten Systems zeit- und arbeitsaufwendiger ist sowie mehr Speicherplatz erfordert, können Sie diese Option des Befehls bart verwenden, wenn Sie nur Informationen zu einer oder mehreren bestimmten Dateien im System aufführen möchten.
Durch Verwenden einer Regeldatei
Mit der Regeldatei erstellen Sie angepasste Manifeste, in denen Informationen zu bestimmten Dateien und Teilbäumen in einem System aufgeführt werden. Außerdem verwenden Sie eine Regeldatei zum Überwachen bestimmter Dateiattribute. Indem Sie eine Regeldatei zum Erstellen und Vergleichen von Manifesten verwenden, können Sie mehrere Attribute für verschiedene Dateien oder Teilbäume angeben. Über die Befehlszeile können Sie stattdessen nur eine globale Attributdefinition angeben, die für alle Dateien in den erstellten Manifesten oder generierten Berichten gilt.
Die Rolle "Primary Administrator" enthält das gleichnamige Profil. Informationen zum Erstellen von Rollen und Zuweisen von Rollen zu Benutzern finden Sie in Kapitel 2, Working With the Solaris Management Console (Tasks) in System Administration Guide: Basic Administration.
Durch Angeben eines Teilbaums:
# bart create -R root-directory
Durch Angeben eines oder mehrerer Dateinamen:
# bart create -I filename...
Beispiel:
# bart create -I /etc/system /etc/passwd /etc/shadow
Durch Verwenden einer Regeldatei:
# bart create -r rules-file
Beispiel 5-2 Erstellen eines Manifests durch Angeben eines Teilbaums
In diesem Beispiel wird beschrieben, wie Sie ein Manifest erstellen, das nur Informationen zu den Dateien im Teilbaum /etc/ssh enthält.
# bart create -R /etc/ssh ! Version 1.0 ! Saturday, November 29, 2003 (14:05:36) # Format: #fname D size mode acl dirmtime uid gid #fname P size mode acl mtime uid gid #fname S size mode acl mtime uid gid #fname F size mode acl mtime uid gid contents #fname L size mode acl lnmtime uid gid dest #fname B size mode acl mtime uid gid devnode #fname C size mode acl mtime uid gid devnode / D 512 40755 user::rwx,group::r-x,mask:r-x,other:r-x 3f81eab9 0 3 /ssh_config F 861 100644 user::rw-,group::r--,mask:r--, other:r-- 3f81e504 0 3 422453ca0e2348cd9981820935600395 /ssh_host_dsa_key F 668 100600 user::rw-,group::---,mask:---, other:--- 3f81eab9 0 0 5cc28cdc97e833069fd41ef89e4d9834 /ssh_host_dsa_key.pub F 602 100644 user::rw-,group::r--,mask:r--, other:r-- 3f81eab9 0 0 16118c736995a4e4754f5ab4f28cf917 /ssh_host_rsa_key F 883 100600 user::rw-,group::---,mask:---, other:--- 3f81eaa2 0 0 6ff17aa968ecb20321c448c89a8840a9 /ssh_host_rsa_key.pub F 222 100644 user::rw-,group::r--,mask:r--, other:r-- 3f81eaa2 0 0 9ea27617efc76058cb97aa2caa6dd65a . . .
Beispiel 5-3 Anpassen eines Manifests durch Angeben eines Dateinamens
In diesem Beispiel wird beschrieben, wie Sie ein Manifest erstellen, das nur Informationen zu den Dateien /etc/passwd und /etc/shadow eines Systems enthält.
# bart create -I /etc/passwd /etc/shadow ! Version 1.0 ! Monday, December 15, 2003 (16:28:55) # Format: #fname D size mode acl dirmtime uid gid #fname P size mode acl mtime uid gid #fname S size mode acl mtime uid gid #fname F size mode acl mtime uid gid contents #fname L size mode acl lnmtime uid gid dest #fname B size mode acl mtime uid gid devnode #fname C size mode acl mtime uid gid devnode /etc/passwd F 542 100444 user::r--,group::r--,mask:r--, other:r-- 3fcfd45b 0 3 d6 84554f85d1de06219d80543174ad1a /etc/shadow F 294 100400 user::r--,group::---,mask:---, other:--- 3f8dc5a0 0 3 fd c3931c1ae5ee40341f3567b7cf15e2
Im Folgenden finden Sie einen Vergleich zwischen der Standardausgabe des Befehls ls -al für die Datei /etc/passwd und /etc/shadow auf dem gleichen System.
# ls -al /etc/passwd -r--r--r-- 1 root sys 542 Dec 4 17:42 /etc/passwd
# ls -al /etc/shadow -r-------- 1 root sys 294 Oct 15 16:09 /etc/shadow
Beispiel 5-4 Anpassen eines Manifests durch Verwenden einer Regeldatei
In diesem Beispiel wird beschrieben, wie Sie ein Manifest erstellen, indem Sie mit einer Regeldatei nur die Dateien im Verzeichnis /etc katalogisieren. Die gleiche Regeldatei enthält Direktiven, die vom Befehl bart compare zur die Überwachung der Änderungen am Attribut acl der Datei /etc/system verwendet werden.
Erstellen Sie mit einem Texteditor eine Regeldatei, durch die nur diese Dateien im Verzeichnis /etc katalogisiert werden.
# List information about all the files in the /etc directory. CHECK all /etc # Check only acl changes in the /etc/system file IGNORE all CHECK acl /etc/system
Weitere Informationen zum Erstellen von Regeldateien finden Sie unter BART-Regeldatei.
Erstellen Sie ein Steuerungs-Manifest anhand der zuvor erstellten Regeldatei.
# bart create -r etc.rules-file > etc.system.control-manifest ! Version 1.0 ! Thursday, December 11, 2003 (21:51:32) # Format: #fname D size mode acl dirmtime uid gid #fname P size mode acl mtime uid gid #fname S size mode acl mtime uid gid #fname F size mode acl mtime uid gid contents #fname L size mode acl lnmtime uid gid dest #fname B size mode acl mtime uid gid devnode #fname C size mode acl mtime uid gid devnode /etc/system F 1883 100644 user::rw-,group::r--,mask:r--, other:r-- 3f81db61 0 3
Erstellen Sie ein Test-Manifest, um Änderungen am System zu überwachen. Bereiten Sie das Test-Manifest genauso wie das Steuerungs-Manifest vor, indem Sie die gleichen bart-Optionen und die gleiche Regeldatei verwenden.
Vergleichen Sie die Manifeste, indem Sie die gleiche Regeldatei verwenden.
Verwenden Sie dieses Verfahren, wenn Sie Änderungen auf Dateiebene für das gleiche System über einen längeren Zeitraum vergleichen möchten. Mit dieser Art von Manifest können Sie beschädigte oder ungewöhnliche Dateien erkennen, Sicherheitsverletzungen feststellen oder Probleme bei der Systemleistung beheben.
Die Rolle "Primary Administrator" enthält das gleichnamige Profil. Informationen zum Erstellen von Rollen und Zuweisen von Rollen zu Benutzern finden Sie in Kapitel 2, Working With the Solaris Management Console (Tasks) in System Administration Guide: Basic Administration.
# bart create -R /etc > control-manifest
# bart create -R /etc > test-manifest
# bart compare options control-manifest test-manifest > bart-report
Entspricht dem Namen der Regeldatei für diesen Vergleich. Wenn Sie die Option -r zusammen mit – verwenden, werden die Direktiven aus der Standardausgabe gelesen.
Ermöglicht dem Benutzer, globale IGNORE-Direktiven über die Befehlszeile festzulegen.
Entspricht dem programmatischen Modus, der eine standardmäßige nicht lokalisierte Ausgabe für programmatisches Parsing generiert.
Entspricht der Ausgabe des Befehls bart create für das Steuerungssystem.
Entspricht der Ausgabe des Befehls bart create für das Testsystem.
Beispiel 5-5 Vergleichen von Manifesten für das gleiche System über einen längeren Zeitraum
In diesem Beispiel wird beschrieben, wie Sie Änderungen überwachen, die im Verzeichnis /etc zwischen zwei angegebenen Zeitpunkten durchgeführt wurden. Durch diesen Vergleich können Sie schnell feststellen, ob die Sicherheit wichtiger Dateien im System gefährdet wurde.
Erstellen Sie ein Steuerungs-Manifest.
# bart create -R /etc > system1.control.121203 ! Version 1.0 ! Friday, December 12, 2003 (08:34:51) # Format: #fname D size mode acl dirmtime uid gid #fname P size mode acl mtime uid gid #fname S size mode acl mtime uid gid #fname F size mode acl mtime uid gid contents #fname L size mode acl lnmtime uid gid dest #fname B size mode acl mtime uid gid devnode #fname C size mode acl mtime uid gid devnode / D 4096 40755 user::rwx,group::r-x,mask:r-x,other:r-x 3fd9dfb4 0 3 /.cpr_config F 2236 100644 user::rw-,group::r--,mask:r--,other:r-- 3fd9991f 0 0 67cfa2c830b4ce3e112f38c5e33c56a2 /.group.lock F 0 100600 user::rw-,group::---,mask:---,other:--- 3f81f14d 0 1 d41 d8cd98f00b204e9800998ecf8427e /.java D 512 40755 user::rwx,group::r-x,mask:r-x,other:r-x 3f81dcb5 0 2 /.java/.systemPrefs D 512 40755 user::rwx,group::r-x,mask:r-x, other:r-x 3f81dcb7 . . .
Erstellen Sie ein Test-Manifest, wenn Sie Änderungen am Verzeichnis /etc überwachen möchten.
# bart create -R /etc > system1.test.121503 Version 1.0 ! Monday, December 15, 2003 (08:35:28) # Format: #fname D size mode acl dirmtime uid gid #fname P size mode acl mtime uid gid #fname S size mode acl mtime uid gid #fname F size mode acl mtime uid gid contents #fname L size mode acl lnmtime uid gid dest #fname B size mode acl mtime uid gid devnode #fname C size mode acl mtime uid gid devnode / D 4096 40755 user::rwx,group::r-x,mask:r-x,other:r-x 3fd9dfb4 0 3 /.cpr_config F 2236 100644 user::rw-,group::r--,mask:r--,other:r-- 3fd9991f 0 0 67cfa2c830b4ce3e112f38c5e33c56a2 /.group.lock F 0 100600 user::rw-,group::---,mask:---,other:--- 3f81f14d 0 1 d41d8cd98f00b204e9800998ecf8427e /.java D 512 40755 user::rwx,group::r-x,mask:r-x,other:r-x 3f81dcb5 0 2 /.java/.systemPrefs D 512 40755 user::rwx,group::r-x,mask:r-x, other:r-x 3f81dcb70 2 /.java/.systemPrefs/.system.lock F 0 100644 user::rw-,group::r-- ,mask:r--,other: r-- 3f81dcb5 0 2 d41d8cd98f00b204e9800998ecf8427e /.java/.systemPrefs/.systemRootModFile F 0 100644 user::rw-, group::r--,mask:r--, other:r-- 3f81dd0b 0 2 d41d8cd98f00b204e9800998ecf8427e . . .
Vergleichen Sie das Steuerungs-Manifest mit dem Test-Manifest.
# bart compare system1.control.121203 system1.test.121503 /vfstab: mode control:100644 test:100777 acl control:user::rw-,group::r--,mask:r--,other:r-- test:user::rwx, group::rwx,mask:rwx,other:rwx
Die vorhergehende Ausgabe bedeutet, dass Berechtigungen der Datei vfstab seit der Erstellung des Steuerungs-Manifests geändert wurden. Mit diesem Bericht können Sie untersuchen, ob Eigentümer, Datum, Inhalt oder andere Dateiattribute geändert wurden. Durch diese Art von Informationen können Sie nachverfolgen, wer die Datei manipuliert hat und wann die Änderung durchgeführt wurde.
Indem Sie Vergleiche zwischen Systemen durchführen, können Sie schnell feststellen, ob Unterschiede auf Dateiebene zwischen einem Basiswertesystem und anderen Systemen bestehen. Wenn Sie beispielsweise eine bestimmte Version der Oracle Solaris-Software auf einem Basiswertesystem installiert haben und feststellen möchten, ob auf anderen Systemen die gleichen Pakete installiert sind, können Sie Manifeste für diese Systeme erstellen und anschließend die Test-Manifeste mit dem Steuerungs-Manifest vergleichen. Bei diesem Vergleich werden Abweichungen im Dateiinhalt zwischen den Testsystemen und dem Steuerungssystem aufgeführt.
Die Rolle "Primary Administrator" enthält das gleichnamige Profil. Informationen zum Erstellen von Rollen und Zuweisen von Rollen zu Benutzern finden Sie in Kapitel 2, Working With the Solaris Management Console (Tasks) in System Administration Guide: Basic Administration.
# bart create options > control-manifest
# bart create options > test1-manifest
Wählen Sie einen eindeutigen und aussagekräftigen Namen für das Testmanifest.
Beispiel:
# cp control-manifest /net/test-server/bart/manifests
Wenn das Testsystem kein über NFS eingehängtes System ist, verwenden Sie beispielsweise FTP, um das Steuerungs-Manifest auf das Testsystem zu kopieren.
# bart compare control-manifest test1-manifest > test1.report
Verwenden Sie die gleichen bart-Optionen für jedes Testsystem.
Beispiel 5-6 Vergleichen von Manifesten verschiedener Systeme mit dem Manifest eines Steuerungssystems
In diesem Beispiel wird beschrieben, wie Sie Änderungen am Inhalt des Verzeichnisses /usr/bin überwachen, indem Sie ein Steuerungs-Manifest mit einem Test-Manifest eines anderen Systems vergleichen.
Erstellen Sie ein Steuerungs-Manifest.
# bart create -R /usr/bin > control-manifest.121203 !Version 1.0 ! Friday, December 12, 2003 (09:19:00) # Format: #fname D size mode acl dirmtime uid gid #fname P size mode acl mtime uid gid #fname S size mode acl mtime uid gid #fname F size mode acl mtime uid gid contents #fname L size mode acl lnmtime uid gid dest #fname B size mode acl mtime uid gid devnode #fname C size mode acl mtime uid gid devnode / D 13312 40755 user::rwx,group::r-x,mask:r-x,other:r-x 3fd9e925 0 2 /.s F 14200 104711 user::rwx,group::--x,mask:--x,other:--x 3f8dbfd6 0 1 8ec7e52d8a35ba3b054a6394cbf71cf6 /ControlPanel L 28 120777 - 3f81dc71 0 1 jre/bin/ControlPanel /HtmlConverter L 25 120777 - 3f81dcdc 0 1 bin/HtmlConverter /acctcom F 28300 100555 user::r-x,group::r-x,mask:r-x,other:r-x 3f6b5750 0 2 d6e99b19c847ab4ec084d9088c7c7608 /activation-client F 9172 100755 user::rwx,group::r-x,mask:r-x, other:r-x 3f5cb907 0 1 b3836ad1a656324a6e1bd01edcba28f0 /adb F 9712 100555 user::r-x,group::r-x,mask:r-x,other:r-x 3f6b5736 0 2 5e026413175f65fb239ee628a8870eda /addbib F 11080 100555 user::r-x,group::r-x,mask:r-x,other:r-x 3f6b5803 0 2 a350836c36049febf185f78350f27510 . . .
Erstellen Sie ein Test-Manifest für jedes System, das Sie mit dem Steuerungssystem vergleichen möchten.
# bart create -R /usr/bin > system2-manifest.121503 ! Version 1.0 ! Friday, December 15, 2003 (13:30:58) # Format: #fname D size mode acl dirmtime uid gid #fname P size mode acl mtime uid gid #fname S size mode acl mtime uid gid #fname F size mode acl mtime uid gid contents #fname L size mode acl lnmtime uid gid dest #fname B size mode acl mtime uid gid devnode #fname C size mode acl mtime uid gid devnode / D 13312 40755 user::rwx,group::r-x,mask:r-x,other:r-x 3fd9ea9c 0 2 /.s F 14200 104711 user::rwx,group::--x,mask:--x,other:--x 3f8dbfd6 0 1 8ec7e52d8a35ba3b054a6394cbf71cf6 /ControlPanel L 28 120777 - 3f81dc71 0 1 jre/bin/ControlPanel /HtmlConverter L 25 120777 - 3f81dcdc 0 1 bin/HtmlConverter /acctcom F 28300 100555 user::r-x,group::r-x,mask:r-x,other: r-x 3f6b5750 0 2 d6e99b19c847ab4ec084d9088c7c7608 . . .
Wenn Sie die Manifeste miteinander vergleichen möchten, kopieren Sie die Manifeste an den gleichen Speicherort.
# cp control-manifest /net/system2.central/bart/manifests
Vergleichen Sie das Steuerungs-Manifest mit dem Test-Manifest.
# bart compare control-manifest system2.test > system2.report /su: gid control:3 test:1 /ypcat: mtime control:3fd72511 test:3fd9eb23
Die vorhergehende Ausgabe gibt an, dass die Gruppen-ID der Datei su im Verzeichnis /usr/bin nicht identisch mit der des Steuerungssystems ist. Anhand dieser Angabe können Sie feststellen, ob eine andere Version der Software auf dem Testsystem installiert wurde oder ob jemand die Datei manipuliert hat.
In diesem optionalen Verfahren wird beschrieben, wie Sie einen BART-Bericht anpassen, indem Sie Dateiattribute über die Befehlszeile angeben. Wenn Sie ein Basiswerte-Manifest erstellen, in dem Informationen zu allen oder bestimmten Dateien im System enthalten sind, können Sie bei der Ausführung des Befehls bart compare je nach Bedarf andere Attribute angeben, um Änderungen an einem bestimmten Verzeichnis, Unterverzeichnis, einer Datei oder Dateien zu überwachen. Sie können verschiedene Arten von Vergleichen für die gleichen Manifeste ausführen, indem Sie unterschiedliche Dateiattribute über die Befehlszeile angeben.
Die Rolle "Primary Administrator" enthält das gleichnamige Profil. Informationen zum Erstellen von Rollen und Zuweisen von Rollen zu Benutzern finden Sie in Kapitel 2, Working With the Solaris Management Console (Tasks) in System Administration Guide: Basic Administration.
Bereiten Sie das Test-Manifest genauso vor wie das Steuerungs-Manifest.
Beispiel:
# bart compare -i dirmtime,lnmtime,mtime control-manifest.121503 \ test-manifest.010504 > bart.report.010504
Beachten Sie, dass die Attribute durch ein Komma in der Befehlszeilensyntax getrennt werden.
In diesem optionalen Verfahren wird beschrieben, wie Sie einen BART-Bericht anpassen, indem Sie eine Regeldatei als Eingabe für den Befehl bart compare verwenden. Das Anpassen eines BART-Berichts durch eine Regeldatei bietet Ihnen Flexibilität, um verschiedene Attribute für mehrere Dateien oder Teilbäume anzugeben. Sie können verschiedene Vergleiche für die gleichen Manifeste ausführen, indem Sie unterschiedliche Regeldateien verwenden.
Die Rolle "Primary Administrator" enthält das gleichnamige Profil. Informationen zum Erstellen von Rollen und Zuweisen von Rollen zu Benutzern finden Sie in Kapitel 2, Working With the Solaris Management Console (Tasks) in System Administration Guide: Basic Administration.
# bart create -r rules-file > control-manifest
# bart create -r rules-file > test-manifest
# bart compare -r rules-file control-manifest test-manifest > bart.report
Beispiel 5-7 Anpassen eines BART-Berichts durch Verwenden einer Regeldatei
Die folgende Regeldatei enthält Direktiven für die Befehle bart create und bart compare. Die Regeldatei weist den Befehl bart create an, Informationen zum Inhalt des Verzeichnisses /usr/bin aufzuführen. Außerdem weist die Regeldatei den Befehl bart compare an, nur Änderungen an Größe und Inhalt im gleichen Verzeichnis zu überwachen.
# Check size and content changes in the /usr/bin directory. # This rules file only checks size and content changes. # See rules file example. IGNORE all CHECK size contents /usr/bin
Erstellen Sie ein Steuerungs-Manifest anhand der zuvor erstellten Regeldatei.
# bart create -r bartrules.txt > usr_bin.control-manifest.121003
Erstellen Sie ein Test-Manifest, wenn Sie Änderungen am Verzeichnis /usr/bin überwachen möchten.
# bart create -r bartrules.txt > usr_bin.test-manifest.121103
Vergleichen Sie die Manifeste, indem Sie die gleiche Regeldatei verwenden.
# bart compare -r bartrules.txt usr_bin.control-manifest \ usr_bin.test-manifest
Untersuchen Sie die Ausgabe des Befehls bart compare.
/usr/bin/gunzip: add /usr/bin/ypcat: delete
In der vorhergehenden Ausgabe wurde durch den Befehl bart compare eine Abweichung im Verzeichnis /usr/bin gemeldet. Diese Ausgabe weist darauf hin, dass die Datei /usr/bin/ypcat gelöscht und die Datei /usr/bin/gunzip hinzugefügt wurde.
|